简要回答
FHE 允许在密文上执行任意计算，使隐私保护 AI 推理成为可能。用户加密输入数据，服务端在密文上执行推理，返回加密结果，全程不暴露原始数据。主要挑战是性能开销大（比明文慢 1000-10000 倍）和密文膨胀，当前适合小型模型和高隐私场景。
标准回答
一、FHE 基本原理
全同态加密（Fully Homomorphic Encryption）由 Craig Gentry 在 2009 年首次提出可行方案，支持在密文上执行加法和乘法两种运算，从而可以表达任意计算。核心数学假设基于格上最短向量问题（SVP），主流方案包括 BFV/BGV（整数运算）、CKKS（浮点运算，适合神经网络）和 TFHE（布尔运算）。
二、在 AI 推理中的应用流程
隐私保护推理的标准流程：(1) 用户将输入数据（如医疗记录）加密后发送给服务端；(2) 服务端在密文上执行模型推理——矩阵乘法、激活函数近似等；(3) 服务端返回加密的推理结果；(4) 用户在本地解密获得最终结果。整个过程中服务端无法看到输入数据和推理结果。
三、关键技术挑战
(1) 性能开销：FHE 推理比明文慢 1000-10000 倍。神经网络的激活函数（ReLU、Sigmoid）在 FHE 下计算代价极高，需要多项式近似或查找表替代。(2) 密文膨胀：密文比明文大 100-10000 倍，带来存储和通信开销。(3) 噪声管理：每次运算引入噪声，需定期执行"自举"（bootstrapping）降低噪声，但自举本身计算代价高昂。
四、2026 年现状
2026 年 reported 的 CIFAR-10 推理 200ms 突破（Belfort Labs，HN 68 pts）使用专用硬件加速（FPGA/ASIC），尚未经过广泛同行评审。Zama 的 Concrete 框架支持将 PyTorch 模型自动转换为 FHE 兼容版本。ISO/IEC 正在制定 FHE 标准，预计 2027 年发布首版。
五、与其他方案对比
FHE 隐私强度最高（数学证明），但性能开销最大。联邦学习适合训练阶段但不直接解决推理隐私。TEE（如 Intel SGX）性能接近明文但需信任硬件厂商。MPC 适合多方联合推理。实际部署中常组合使用多种方案。
常见误区
⚠️ 常见踩坑
误区一：FHE 可以直接用于大语言模型推理——当前 FHE 性能开销使 GPT 级别模型在 FHE 下推理不可行，仅适合小型模型。
误区二：FHE 与联邦学习是一回事——FHE 解决推理隐私，联邦学习解决训练隐私，两者互补而非替代。
误区三：忽视学术早期阶段的风险——2026 年 reported 的性能突破（如 CIFAR-10 200ms）可能依赖专用硬件，在通用 CPU/GPU 上无法复现。
追问
追问 1：FHE 中激活函数如何处理？
神经网络的激活函数（ReLU、Sigmoid 等）在 FHE 下不能直接计算，需要近似替代。多项式近似——用低阶多项式逼近激活函数，如用 3 阶多项式近似 ReLU，精度随阶数提高但计算开销增大。查找表（LUT）——预计算激活函数值并存储在密文查找表中，但 LUT 大小受限于密文参数（slot 数量），大表需要多次查询。分段线性近似——用分段线性函数替代非线性激活，在每段内可用同态加法/乘法实现。每种方法都有精度-性能权衡：多项式近似适合低阶函数，查找表适合离散值域，分段线性适合单调函数。实际部署中常组合使用多种近似策略。
追问 2：FHE 方案如何选择？
FHE 方案选择取决于应用场景和性能需求。整数运算场景选 BFV/BGV——支持精确整数运算，适合分类、离散决策等任务。浮点运算场景选 CKKS——支持近似浮点运算，是目前最适合神经网络的方案，在 CIFAR-10 等小型模型推理中已验证可行性。布尔运算场景选 TFHE/FHEW——支持快速布尔门运算，适合逻辑电路和比较操作。实际选择还需考虑库的成熟度——OpenFHE（最全面）、SEAL（微软维护）、Concrete（Python 友好）；硬件支持——CPU 通用但慢，GPU 加速有限，FPGA/ASIC 可大幅提速但成本高；具体性能需求——延迟敏感选 TFHE，吞吐量优先选 CKKS。建议先用 Concrete 框架做原型验证，再根据性能瓶颈选择底层方案。
🔗 相似问题
同一考点的不同问法，换着练更稳
没找到想看的面试题？把你想看的告诉我们 →
延伸学习
按主题分类的相关资源，便于系统复习
